Mongoose findOne传入未定义字段返回错误用户的问题及解决

为什么会返回错误用户？ #

1. Mongoose 默认不对查询条件做字段校验：Schema 的核心作用是约束文档的写入逻辑，而非查询逻辑。当你传入 Schema 未定义的字段（比如emaill）作为查询条件时，Mongoose 不会触发错误，而是直接将查询请求转发给 MongoDB。
2. 返回“随机用户”的具体场景：
   • 如果你使用的是 Mongoose 6 之前的版本，strictQuery选项默认是false，此时 Mongoose 会自动忽略查询条件中未定义的字段，相当于执行User.findOne({})——这会返回集合中的第一个文档，看起来像是“随机”用户。
   • 如果查询值（比如email）是空值（null/undefined），MongoDB 会匹配所有没有emaill字段的文档（也就是所有用户），findOne同样会返回第一个匹配的文档。

怎么解决？ #

1. 开启strictQuery校验（推荐） #

Mongoose 6 及以上版本默认将strictQuery设为true，此时查询包含未定义字段时会直接抛出错误；旧版本需要手动配置：

// 全局配置（连接数据库前设置）
const mongoose = require('mongoose');
mongoose.set('strictQuery', true);

// 或者针对单个 Schema 配置
const userSchema = new mongoose.Schema(
  { email: String /* 其他字段 */ },
  { strictQuery: true }
);

开启后，再传入{emaill: email}这类无效查询条件时，Mongoose 会直接抛出错误，避免返回错误结果。

2. 手动校验查询字段 #

可以提前提取查询条件的键，和 Schema 定义的字段对比，过滤或拦截无效字段：

// 获取 User Schema 中所有合法字段
const allowedFields = Object.keys(User.schema.paths);
const query = {};

const inputEmail = req.body.email;
if (inputEmail) {
  if (allowedFields.includes('email')) {
    query.email = inputEmail;
  } else {
    throw new Error('查询字段不合法');
  }
}

User.findOne(query);

3. 使用查询中间件统一校验 #

给 User Model 添加查询中间件，在查询执行前自动检查所有查询字段的合法性：

userSchema.pre('findOne', function(next) {
  const queryKeys = Object.keys(this.getQuery());
  const allowedKeys = Object.keys(userSchema.paths);
  const invalidKeys = queryKeys.filter(key => !allowedKeys.includes(key));

  if (invalidKeys.length > 0) {
    return next(new Error(`无效查询字段：${invalidKeys.join(', ')}`));
  }
  next();
});

内容的提问来源于stack exchange，提问作者user6377312